Supporto IT e problemi di sicurezza relativi alle VM locali

1

Ho iniziato a lavorare in un grande istituto finanziario diverse settimane fa come ingegnere informatico e nonostante tutti gli altri aspetti di questo lavoro siano eccezionali, sono ossessionato dalle restrizioni costanti che la politica di sicurezza delle workstation ci pone di fronte. Non sono consentiti i diritti di amministratore locale sulle nostre workstation Windows 7, il che è normale e sono d'accordo. Quello che più preoccupa è che siamo autorizzati a utilizzare il software su queste workstation che è stato approvato e aggiunto all'elenco dei nostri programmi pubblicizzati. Essendo su un progetto greenfield e lavorando a stretto contatto con un venditore per far partire un POC, questo processo è troppo lento e talvolta ci impedisce di svolgere il nostro lavoro.

So che altri team si sono imbattuti in questo problema e non sono sicuro di come lo hanno affrontato, ma a quanto pare è una battaglia che è già stata combattuta e persa da diversi gruppi, anche per le eccezioni da concedere.

Sto preparando un documento che cerca di dimostrare come se fossimo autorizzati a eseguire VirtualBox su una workstation Windows 7 che possiamo ottenere tutti i vantaggi dei diritti di amministratore locale senza causare inutili rischi per la sicurezza sulla macchina o sulla rete. So che cercheranno il modo più semplice per licenziare la mia proposta, quindi sto cercando di confutare nel mio documento eventuali problemi di sicurezza che questo gruppo potrebbe avere.

Esistono problemi di sicurezza significativi introdotti dall'introduzione di macchine virtuali locali su una workstation con restrizioni? In tal caso, in che modo tali problemi di sicurezza possono essere mitigati?

Le mie scuse se questa domanda è troppo ampia o pubblicata nel posto sbagliato.

    
posta maple_shaft 29.07.2014 - 13:03
fonte

1 risposta

3

Tecnicamente parlando c'è un rischio molto piccolo nell'eseguire una VM non sicura su una macchina sicura SE la VM non ha accesso alla rete (dopotutto questo è il modo in cui si ricerca il malware). Se ha accesso alla rete, in sostanza hai solo eluso tutte le misure di sicurezza.

Da un punto di vista della sicurezza, supponiamo che la tua VM sia insicura e quindi piena di malware (supponiamo solo). Se la VM è completamente isolata dal mondo esterno e quindi dal proprio sistema, è perfettamente benigna. Questo è simile a un vero laboratorio biologico con un agente caldo: il lavoro viene fatto, le persone vanno a casa, senza problemi. Se dovessi avere accesso in rete a quella VM, è simile a quello stesso biolab ma lasciando le porte aperte.

Come sviluppatore, mi imbatto costantemente in problemi come questo e ad essere onesti, le modifiche / eccezioni come questa generalmente non sono una decisione che il tuo datore di lavoro può prendere. Le politiche di sicurezza sono ideate al momento della creazione del contratto. Devi solo fare del tuo meglio per lavorare al loro interno.

Come per il tuo commento, non ci sono modi sicuri per "limitare" l'accesso alla rete VM perché è all'interno del PC host (e quindi della sua rete). A livello di VM ci sono metodi molto severi (non invulnerabili, ma rigorosi) per impedire l'accesso alla rete se lo si nega come impostazione. Se si sceglie di abilitare la visualizzazione di una determinata porta durante l'installazione che introduce così tante vulnerabilità associate a quella porta.

Come hai affermato, la tua azienda ti consente di utilizzare RDP sulla tua macchina al lavoro. Mentre personalmente, trovo questo un enorme rischio per la sicurezza, questo ti dà alcune opzioni ...

L'opzione più semplice consiste semplicemente nell'RDP di uscire sul tuo computer a casa e fare un po 'di sollevamento senza restrizioni.

Nessuno di questi metodi è il più efficiente per un programmatore, né le politiche di sicurezza sono in atto per semplificare le cose.

Suggerirei di aprire un dialogo con il tuo datore di lavoro e delineare le tue frustrazioni. Se c'è qualcosa che hai bisogno e non hai, allora quella è una preoccupazione legittima. Nel mondo degli appalti c'è molto poco spazio per negoziare solo le istruzioni .

    
risposta data 29.07.2014 - 14:44
fonte

Leggi altre domande sui tag